Active Directory (AD) ortamlarında güvenlik uyumluluğunun sağlanması, kurumsal ağların siber saldırılara karşı korunmasında önemli bir yere sahiptir. Ancak güvenlik politikalarının uygulanması ve ilgili standartların karşılanması, altyapının tüm tehditlere karşı korunduğunu tek başına göstermez. Kurumların AD güvenliğini doğru değerlendirebilmesi için mevcut uyumluluk gereksinimlerini güncel saldırı teknikleriyle birlikte ele alması ve olası güvenlik açıklarını bu çerçevede analiz etmesi gerekir.
Active Directory Güvenliği Kurumlar İçin Neden Kritik Öneme Sahiptir?
Active Directory Domain Services (AD DS), kuruluşların kullanıcı hesaplarını, bilgisayarları, erişim izinlerini ve ağ kaynaklarını merkezi bir yapı üzerinden yönetmesini sağlar. Kurumsal BT altyapısının temel bileşenlerinden biri olan Active Directory, barındırdığı kimlik bilgileri ve geniş erişim yetkileri nedeniyle siber saldırganların öncelikli hedefleri arasında yer alır. Fortune 1000 şirketlerinin yaklaşık yüzde 90’ının hâlâ AD kullanması, platformun kurumsal ağlardaki yaygınlığını ortaya koyarken kimlik temelli saldırıların yüzde 44’ünün doğrudan AD altyapısını hedef alması riskin boyutunu gösterir.
Güvenlik uyumluluğu, kuruluşların belirli standartlara, erişim politikalarına ve teknik kontrol gereksinimlerine uygun hareket etmesini amaçlar. Ancak bazı işletmeler güvenlik kontrollerini eksik uygulayabilir veya politikalarını değişen saldırı yöntemlerine göre güncellemeyebilir. Bu nedenle denetimlerde uyumlu görünen Active Directory ortamları bile saldırganların yararlanabileceği yanlış yapılandırmalar, aşırı yetkilendirilmiş hesaplar ve güncel olmayan güvenlik politikaları barındırabilir.
Active Directory’nin saldırganlar açısından taşıdığı değerin temelinde merkezi kimlik ve erişim yönetimi bulunur. Tek bir hesabın ele geçirilmesi, hesabın sahip olduğu yetkilere bağlı olarak ağdaki çok sayıda sisteme erişim sağlayabilir. Özellikle bir saldırganın etki alanı yöneticisi (Domain Admin) ayrıcalıklarını ele geçirmesi, tek bir sunucuyla sınırlı kalmayan geniş çaplı bir güvenlik ihlaline yol açabilir. Saldırgan, bu yetkiler üzerinden kullanıcı hesaplarını yönetebilir, sistem yapılandırmalarını değiştirebilir ve kurumsal kaynaklara erişebilir.
Bu nedenle fidye yazılımı grupları ve gelişmiş kalıcı tehdit (APT) aktörleri, saldırı süreçlerinde Active Directory altyapısını önemli bir hedef olarak değerlendirir. Kuruluşların AD güvenliğini yalnızca uyumluluk denetimleriyle sınırlamaması; ayrıcalıklı hesapları, kimlik doğrulama süreçlerini ve etki alanı yapılandırmalarını düzenli olarak incelemesi gerekir.
Güvenlik Standartlarına Uyum, Active Directory Koruması İçin Tek Başına Yeterli Değil
Uzmanlar tarafından 12 Kasım 2026 tarihinde yayınlanan değerlendirme, Active Directory güvenliği kapsamında uyumluluk gereksinimlerinin gerçek saldırı senaryolarıyla birlikte incelenmesi gerektiğini ele alıyor. Değerlendirmenin temelinde, kuruluşların yalnızca güvenlik standartları kapsamındaki koşulları karşılayıp karşılamadığını kontrol etmesi yerine, saldırganların bu koşullara uygun görünen sistemlere nasıl sızabildiğini anlaması gerektiği yer alıyor.
Kaynak yazıda atıfta bulunulan önceki inceleme, saldırganların uyumluluk önlemleri uygulanmasına rağmen Active Directory ortamları üzerinde istismar edebildiği altı farklı yöntemi ele alıyor. Bu bulgular, kurumların güvenlik denetimlerini yalnızca standart kontrol listeleriyle sınırlamaması ve olası saldırı yollarını da değerlendirmesi gerektiğini gösteriyor.
Active Directory güvenliği değerlendirilirken politika uyumluluğu ile birlikte saldırı yüzeyi, hesap yetkileri ve mevcut savunma mekanizmaları da incelenmelidir. Kuruluşların güvenlik kontrollerini güncel saldırı teknikleriyle karşılaştırması, belgelenmiş uyumluluk koşulları ile sistemlerin gerçek güvenlik düzeyi arasındaki farkı ortaya çıkarmaya yardımcı olur.
Uyumluluk ile Gerçek Active Directory Güvenliği Arasındaki Açık Neden Büyüyor?
Uyumluluk gereksinimleri ile gerçek güvenlik seviyesi arasındaki farkın büyümesinde teknik, mimari ve operasyonel etkenler rol oynuyor. Geleneksel denetim yöntemleri belirli bir dönemdeki sistem yapılandırmasını esas alırken siber saldırganlar yöntemlerini sürekli geliştiriyor. Ayrıca standart kontrol listeleri çoğunlukla bilinen yapılandırma hatalarına odaklandığı için kimlik bilgilerinin kötüye kullanılması, ağ içinde yanal hareket ve ayrıcalık yükseltme gibi dinamik saldırı tekniklerini yeterince değerlendiremiyor.
Active Directory’nin mimari yapısı da bu sorunun önemli bileşenlerinden birini oluşturuyor. Platform, kimlik doğrulama süreçlerinde büyük ölçüde parola tabanlı mekanizmalara dayanıyor. Modern sıfır güven (Zero Trust) yaklaşımlarında öne çıkan çok faktörlü kimlik doğrulama, bağlamsal erişim denetimi ve oturum yönetimi gibi yetenekler ise AD’nin temel mimarisinde bütünleşik olarak bulunmuyor. Kuruluşların bu kontrolleri sağlamak için ek kimlik güvenliği çözümlerine ve yapılandırmalara ihtiyaç duyması, koruma süreçlerini daha karmaşık hale getiriyor.
Kerberoasting saldırısı, bu mimari riskin somut örneklerinden biridir. Saldırganlar, Kerberos protokolünün meşru çalışma mekanizmasından yararlanarak servis hesaplarına ait şifrelenmiş hizmet biletlerini elde edebilir. Ardından bu veriler üzerinde çevrimdışı parola kırma girişimleri gerçekleştirebilir. Saldırı, doğrudan bir yazılım açığının istismar edilmesini gerektirmediği için geleneksel güvenlik açığı taramaları tarafından tespit edilmeyebilir. Zayıf servis hesapları ve yetersiz izleme mekanizmaları, saldırının başarıya ulaşma riskini artırır.
Bir diğer sorun, uyumlu görünen sistemlerde bile gereğinden fazla yetkiye sahip servis hesaplarının, eski kimlik doğrulama protokollerinin ve yetersiz izleme politikalarının varlığını sürdürmesidir. Bu eksiklikler, saldırganların ele geçirdikleri bir hesaptan hareketle daha geniş yetkiler elde etmesine veya ağın farklı bölümlerine ilerlemesine zemin hazırlayabilir. Microsoft’un güvenlik rehberliği de ayrıcalıklı gruplardaki üyeliklerin sınırlandırılmasını ve eski sistemlerin aşamalı olarak devreden çıkarılmasını öneriyor. Ancak işletmeler, operasyonel bağımlılıklar veya kaynak yetersizliği nedeniyle bu önlemleri uygulamakta gecikebiliyor.
Operasyonel koşullar da AD güvenliğinin sürdürülebilir biçimde yönetilmesini zorlaştırıyor. Bazı kuruluşlarda Active Directory altyapısından sorumlu ekipler yalnızca bir veya iki uzmandan oluşabiliyor. Sınırlı insan kaynağı, ekiplerin günlük sistem sorunlarına ve acil güvenlik açıklarına öncelik vermesine neden olurken uzun vadeli iyileştirme çalışmalarını geri plana itebiliyor. Denetim raporlarında yüzlerce güvenlik bulgusunun yer alması da tek başına koruma sağlamıyor; kuruluşların her bulgu için sorumlu, öncelik ve düzeltme takvimi belirlemesi gerekiyor.
Uyumluluk denetimlerinin bir başka sınırlaması ise sistemin nasıl yapılandırıldığına odaklanıp gerçek çalışma koşullarını yeterince ölçmemesidir. Örneğin bir Grup İlkesi Nesnesinin (GPO) belirlenen güvenlik ayarlarına uygun olduğu doğrulanabilir. Ancak aynı denetim, politikanın tüm sistemlerde etkin biçimde uygulanıp uygulanmadığını, saldırganların ilgili kontrolü aşabilecek bir yol bulup bulmadığını veya bir kullanıcı hesabının ele geçirilip geçirilmediğini tek başına ortaya koyamaz.
Bu nedenle Active Directory güvenliğinin değerlendirilmesi, yapılandırma kontrollerinin ötesine geçmelidir. Kuruluşların saldırı simülasyonları, ayrıcalıklı hesap incelemeleri, olay kayıtlarının analizi ve sürekli izleme gibi yöntemlerle savunma mekanizmalarının gerçek tehditler karşısındaki etkinliğini ölçmesi gerekir. Böylece denetimlerde sağlanan uyumluluk, operasyonel güvenlik performansıyla desteklenebilir.
Active Directory Güvenliğinde Sık İhmal Edilen Risk Alanları
Active Directory güvenliğini değerlendiren denetimler, bazı kritik riskleri yalnızca yüzeysel biçimde ele alabiliyor. Özellikle ayrıcalıklı hesaplar, servis hesapları, eski ağ protokolleri, güvenlik günlükleri ve yedekleme süreçleri, kurumsal ağların saldırılara karşı dayanıklılığını doğrudan etkiliyor.
İlk risk alanını ayrıcalıklı hesapların yönetimi oluşturuyor. Domain Admin, Enterprise Admin ve Schema Admin gibi yüksek yetkili grupların üye sayısı birçok kuruluşta ihtiyaç duyulan seviyenin üzerine çıkabiliyor. Bu hesapların günlük operasyonlarda kullanılması da kimlik bilgilerinin saldırganlar tarafından ele geçirilme riskini artırıyor. Saldırganlar, ayrıcalıklı bir hesabı ele geçirdiklerinde etki alanındaki kritik sistemlere ve kaynaklara geniş kapsamlı erişim elde edebiliyor. Kuruluşların yönetici hesaplarını sınırlandırması ve günlük işler için ayrı standart kullanıcı hesapları kullanması bu riski azaltmaya yardımcı oluyor.
İkinci önemli risk alanını servis hesapları oluşturuyor. Kurumsal uygulamalar, zamanlanmış görevler ve otomasyon araçları, belirli işlemleri gerçekleştirmek için servis hesaplarından yararlanıyor. Ancak bu hesaplara gereğinden fazla yetki verilmesi ve parolalarının uzun süre değiştirilmeden kullanılması güvenlik açıklarına neden olabiliyor. Saldırganlar, ele geçirdikleri servis hesaplarını ağ içinde yanal hareket etmek ve daha yüksek ayrıcalıklara ulaşmak için kullanabiliyor. İşletmelerin servis hesaplarına yalnızca ihtiyaç duydukları izinleri tanımlaması, parola yönetimini güçlendirmesi ve hesap etkinliklerini izlemesi gerekiyor.
Üçüncü risk alanı, eski ağ protokollerinin kullanılmaya devam edilmesinden kaynaklanıyor. NTLM, LLMNR ve SMBv1 gibi protokoller, uygun güvenlik önlemleri olmadan çalıştırıldığında kimlik bilgisi ele geçirme, kimlik doğrulama aktarımı ve ortadaki adam saldırıları için fırsat oluşturabiliyor. Güvenlik denetimleri bu protokollerin devre dışı bırakılmasını öngörse de bazı uygulamaların eski protokollere bağımlı olması geçiş sürecini zorlaştırabiliyor. Kuruluşların öncelikle protokol kullanımını envantere alması, uygulama bağımlılıklarını belirlemesi ve güvenli alternatiflere aşamalı geçiş planı hazırlaması önem taşıyor.
Dördüncü risk alanı, güvenlik günlüklerinin toplanmasına rağmen yeterince analiz edilmemesidir. Birçok Active Directory ortamında etki alanı denetleyicilerinin olay kayıtları merkezi sistemlere aktarılıyor ancak kayıtlar düzenli olarak incelenmiyor. Olağan dışı oturum açma girişimleri, ayrıcalık yükseltme faaliyetleri ve beklenmeyen Grup İlkesi Nesnesi (GPO) değişiklikleri zamanında tespit edilmediğinde saldırganlar ağ içinde uzun süre fark edilmeden kalabiliyor. Merkezi günlük yönetimi, korelasyon kuralları ve güvenlik izleme araçları, şüpheli etkinliklerin erken belirlenmesine yardımcı oluyor.
Beşinci risk alanını yedekleme ve kurtarma süreçleri oluşturuyor. Active Directory verilerinin düzenli olarak yedeklenmesi, kurumsal kimlik altyapısının korunması açısından temel gereksinimlerden biridir. Ancak yedeklerin alınması tek başına yeterli değildir. Kurtarma işlemlerinin düzenli olarak test edilmemesi, yedeklerin bozuk, eksik veya saldırı sırasında erişilemez durumda kalmasına neden olabilir. Özellikle fidye yazılımı saldırılarında yedekleme sistemlerinin de hedef alınması, veri kurtarma sürecini zorlaştırır.
Kuruluşların yedekleri ana sistemlerden bağımsız ve korumalı ortamlarda saklaması, geri yükleme testleri gerçekleştirmesi ve etki alanı kurtarma prosedürlerini güncel tutması gerekir. Böylece Active Directory güvenliği yalnızca denetim gereksinimleriyle sınırlı kalmaz, gerçek bir saldırı veya sistem arızası karşısında uygulanabilir bir kurtarma planıyla desteklenir.
ITSTACK ile Active Directory Uyumluluğunu Gerçek Güvenliğe Dönüştürün
Active Directory güvenliği, yalnızca denetim gereksinimlerini karşılayan politikalarla sağlanamıyor. Kuruluşların saldırı yüzeyini daraltan, ayrıcalıklı erişimleri kontrol altında tutan ve sürekli izleme sağlayan kapsamlı bir güvenlik yaklaşımı benimsemesi gerekiyor. Microsoft CSP iş ortağı olan ITSTACK, beş Solutions Partner statüsüyle Active Directory ortamlarının tasarımından güvenlik sıkılaştırmasına, sürüm yükseltmelerinden forest geçişlerine kadar farklı ihtiyaçları tek ekip üzerinden yönetiyor.
ITSTACK’in Active Directory hizmetleri, öncelikle mevcut altyapının sağlık kontrolüyle başlıyor. Yapılan değerlendirme sonucunda tespit edilen sorunlar öncelik sırasına göre sınıflandırılıyor ve kuruluşa uygulanabilir bir aksiyon listesi sunuluyor. Güvenlik sıkılaştırma çalışmaları kapsamında Tier modeli, ayrıcalıklı hesap yönetimi ve Grup İlkesi Nesnesi (GPO) yapılandırmaları ele alınıyor. Böylece uyumluluk denetimlerinde gözden kaçabilen gereğinden fazla yetkilendirilmiş hesaplar, zayıf yapılandırmalar ve gereksiz erişim izinleri gibi risklerin azaltılması hedefleniyor.
ITSTACK, güvenlik değişikliklerini doğrudan canlı ortama uygulamak yerine öncelikle test veya pilot ortamlarda doğruluyor. Onaylanan düzenlemeler aşamalı olarak devreye alınıyor ve her değişiklik için geri dönüş planı hazırlanıyor. Bu yöntem, Active Directory altyapısının güvenliğini artırırken iş süreçlerinin kesintiye uğrama riskini de kontrol altında tutuyor. Hibrit altyapılarda ise yerel Active Directory ile Microsoft Entra arasındaki eşitleme süreçleri yönetiliyor. Uygulamaların bulutta veya kurum içi sistemlerde konumlandırılması, işletmenin teknik gereksinimleri doğrultusunda değerlendiriliyor.
ITSTACK’in yaklaşımı, uyumluluğu yalnızca denetim sırasında sunulacak belgelerden ibaret görmemesiyle şekilleniyor. Sağlık kontrolü, güvenlik sıkılaştırma, sürekli izleme ve kurtarma testleri birlikte yürütüldüğünde kuruluşlar, altyapılarındaki güvenlik seviyesini daha somut biçimde değerlendirebiliyor. Böylece denetim sonuçlarının gerçek savunma kapasitesini yansıtması ve tespit edilen eksikliklerin sistematik biçimde giderilmesi amaçlanıyor.
AD güvenliği değerlendirmelerinin tek seferlik kontrollerle sınırlı kalmaması da bu yaklaşımın önemli bir parçasını oluşturuyor. Sürekli izleme, saldırı yolu analizi ve ayrıcalıklı erişim incelemeleri, değişen tehditlere karşı savunmanın güncel tutulmasına yardımcı oluyor. ITSTACK’in güvenlik hizmetleri; tehdit tespiti, hızlı müdahale, veri şifreleme ve uyumluluk yönetimini bir araya getirerek Active Directory altyapılarının güvenlik gereksinimlerini bütüncül biçimde ele alıyor.
Active Directory altyapılarında güvenlik uyumluluğu, tek başına saldırılara karşı yeterli koruma sağlamıyor. Kuruluşlar güvenlik standartları kapsamında gerekli denetimleri tamamlamış olsa bile gerçek saldırı senaryolarında ortaya çıkabilecek açıkları ayrıca değerlendirmek zorunda kalıyor. Etkili bir AD güvenliği stratejisi; saldırı yüzeyi, hesap yetkileri ve savunma mekanizmaları arasındaki ilişkiyi birlikte inceleyerek riskleri sürekli takip etmeyi gerektiriyor.
Kuruluşların kâğıt üzerindeki uyumluluk gereksinimlerini gerçek güvenlik düzeyi ile örtüştürmesi, denetim odaklı kontrollerin ötesine geçen sürdürülebilir bir çalışma modeliyle sağlanabiliyor. ITSTACK gibi uzman bir teknoloji ortağı, değerlendirme, iyileştirme ve izleme süreçlerini yapılandırılmış bir hizmet yaklaşımıyla yöneterek Active Directory altyapılarının hem uyumluluk gereksinimlerini karşılamasına hem de gerçek tehditlere karşı daha dayanıklı hale gelmesine katkıda bulunuyor.
